HTTP与HTTPS

HTTP介绍

(1)无状态: 每次请求都是独立的, 两个请求之间没有联系, 但是会引入 Cookie 和 Session 机制来关联请求.
(2)无连接：服务端收到客户端请求后, 响应完成并收到客户端的应答之后, 立即断开连接

HTTP与HTTPS区别

1.HTTP 的 URL 以 http:// 开头，而 HTTPS 的 URL 以 https:// 开头
2.HTTP 是不安全的，而 HTTPS 是安全的
HTTP 标准端口是 80 ，而 HTTPS 的标准端口是 443
3.在 OSI 网络模型中，HTTP 工作于应用层，而 HTTPS 工作在传输层
4.HTTP 无需加密，而 HTTPS 对传输的数据进行加密
5.HTTP 无需证书，而 HTTPS 需要认证证书

HTTPS 优缺点

优点：
1.可以认证用户和服务器, 确保数据发送到正确的客户端和服务端
2.防止数据在传输过程中不被窃取、改变, 确保数据的完整性

缺点：
1.比较耗时, 页面的加载时间延长 50%, 增加 10% 和 20%的耗电
2.SSL 证书要钱
3.https 连接缓存不如 http 高效
4.并非绝对安全, 掌握CA证书机构、加密算法的组织任然可以进行中间人形式的攻击

HTTPS认证理解

（1）非对称加密算法理解？

私钥加密后的密文，只要是公钥，都可以解密，但是公钥加密后的密文，只有私钥可以解密。私钥只有一个人有，而公钥可以发给所有的人。
虽然服务器端向A、B客户端的方向还是不安全的，但是至少A、B客户端向服务器端方向是安全的。
如果只使用同样的加密算法，相当于无用。

（2）为啥要协商？因为一个服务器和多个客户端需要不同的对称加密算法。

HTTPS同时需要对称和非对称加密算法
服务器和客户端协商过程用的是非对称加密
服务器和客户端传输数据用的是对称加密

（3）HTTPS握手阶段为啥那么多随机数？

为了不让第三者知道对称加密算法，采用随机数生成对称加密算法。

（4）如何得到公钥？

错误：服务器端将公钥直接发送给每一个客户端。（分析一下，中间人拦截调包）
正确：第三方机构用它的私钥对服务器的公钥加密，传给客户端。客户端用第三方机构的公钥进行解密。

（5）公钥被调包怎么办?

每个浏览器默认保存所有网站的公钥是不现实的。

（6）第三方机构的公钥解决公钥被调包

需要身份验证
数字证书：可以理解为第三方机构的私钥对服务器公钥加密后的证书
数字签名（证书编号）：解决同一机构颁发的不同证书被篡改问题。因为第三机构可以为多个公司制作证书（包括中间人公司），这时客户端无法判断数字证书是中间人还是真正的服务器

（7）怎么辨别同一机构不同证书？

把同一机构不同证书放在客户端本地，让客户端自己去辨别。

（8）第三方机构验证服务在哪里？

不能是远端服务.如果这样的话，整个交互慢。
第三方机构验证服务职能放在客户端本地

（9）客户端本地怎么验证证书？

怎么辨别？证书有证书编号，持证人，颁发时间。证书本身就告诉客户端怎么验证证书的真伪。客户端拿到证书后根据证书上的方法自己生成一个证书编号，如果生成的证书编号和证书上的编号相同，那么这个证书就真实。

（10）第三方机构的公钥是如何传输到客户端机器上？

因为浏览器和操作系统都会维护着一个权威的第三方机构列表（包括它们的公钥）

（11）证书机构如何颁发数字证书给服务器端？